某局点调整防火墙ssh和web的默认端口后无法登录、页面卡顿

组网不涉及，设备管理地址为公网地址

无告警信息

设备通过公网地址管理，出于安全考虑，现场修改了web及ssh管理的默认端口，修改后发现web页面打开卡顿，ssh登录超时

1.首先通过console登录设备，针对登录卡顿的流量进行排查（debug会话等手段），确认报文被防火墙丢弃。

2.检查ssh和ip http相关配置，无异常

3.业务流量正常，过路流量无丢包现象，进一步排查控制平面是否存在丢包，发现default协议报文丢包计数大量增长。

[H3C-probe]dis system  internal  control-plane statistics  slot 2 cpu  1 

Control plane slot 2 cpu 1

  Protocol: Default

    Bandwidth: 1000 (pps)

    Forwarded: 1210012754 (Packets), 171957391752 (Bytes)

    Dropped  : 3691114653 (Packets), 535188841706 (Bytes)

ssh/http/https的默认端口被修改，对应的管理流量上到防火墙后被识别成了其他协议，由于访问防火墙本机的流量属于控制平面报文，设备默认存在限速策略，针对常用协议如icmp、ssh、http等均设有单独的带宽供使用，调整了ssh的默认端口后，流量被识别成了其他协议，匹配到的带宽为default协议，由于管理地址暴露在公网，可能会存在大量的无关报文访问导致cpu控制平面限速丢包

首先不建议通过公网访问。

如果一定要走公网访问的话，可以配置一个环回口，然后公网口配置nat server，把公网口的某个非知名端口映射到环回口的22端口，ssh server port还用默认22，这也可以避免copp限速的影响。

另外公网口的22端口映射到一个任意一个不通的地址+端口，这样22端口从公网侧是仍然是访问不通的